X-cà tiếp tục bị tấn công DDoS với cường độ lớn

Các bác có trình độ và kinh nghiệm về networking security có thể liên lạc với admin tại tqvn2004@yahoo.com để góp ý các giải pháp chống DDoS. Cảm ơn các bác!

Cho tới hôm nay (20/5/2008), X-cafe vẫn chưa chính thức dùng firewall bên ngoài (hardware) hổ trợ mà chỉ chủ yếu dùng firewall của server (software) là chính và mổi khi đối phương đổi cách tấn công thì nó sẻ làm vô hiệu hoá firewall vì firewall trên server cũng có giới hạn của nó.

Nói chung thì các cuộc tấn công gần đây tới x-cafe có nhiều loại khác nhau và thường được tung ra vào cùng 1 thời điểm:

+ Sync flood: thứ này thì hình như ngày nào cũng có, mỗi giây có khoảng vài ngàn request quăng tới server: Server có turn on sync cookie cho nên có thể chống lại được phần nào như khi lượng sync flood dâng cao thì server cũng không kịp chống đở.

+ Http Flood: thằng này thì tụi tui tình nghi đối phương dùng các chương trình cho share như Tor hay các open source project chạy trên nhiều máy khác nhau. Từ máy chủ, họ có thể gởi request tới các máy phụ để gởi request tới server của x-cafe với tốc độ chậm. Trung bình mổi lần tham gia thì có khoảng 800 – 1000 máy. Mổi máy sẻ gởi request tới những trang có nhiều kết nối tới database để làm cho cả server bị chậm lại bởi database bottle neck. Vào cao điểm hôm qua, 19/5 giờ VN, số lương máy tham gia loại này đã lên tới trên 5000 ngàn máy. Tụi này đã đối phó bằng cách redirect các request này đi chổ khác để giảm nhẹ database… nhưng số lượng request nhiều thì cũng rất khó chống… Trên server cũng gắn các tool detect DOS để tự động đưa các IP vi phạm vào iptable khoá lại nhưng với con số 4000 – 5000 ip quả là không dể dàng để iptable table của server có thể làm việc được… vì tui không rành về iptable của lInux server nên không biết liệu có thể block được 5000-6000 ipaddress của các máy bị khống chế này??

+ Bandwidth flood: vào các ngày 6 – 11 tháng 5, x-cafe server đã nhận lượng trafic khoảng trên 20Mbs đi vào. Tuy không làm nghẽn bandwidth nhưng quả thật server không có khả năng đám ứng với lượng request cao loại này. Rất tiếc là tui không rành post image trên blog cho nên không thể cung cấp các đồ thị ghi lại bandwidth của x-cafe server trong khoảng thời gian vừa qua..

+ HTTP half connection: kể từ ngày hôm qua thì đối phương lại chuyển chiến thuật dùng socket mở http request trên port 80 rồi để iddle cho tới khi timeout. Apache server không nhận được request nào nhưng toàn bộ socket trên server đều bị chiếm dụng bởi các máy tham gia tấn công theo kiểu này… Lấy ví dụ, số người truy cập X-cà ngày hôm kia, 18/5/2008, là 6149 người. Con số hoành tráng này tới từ các máy tấn công X-cà, đang giả dạng làm khách viếng thăm một cách hợp lệ để làm lụt tài nguyên server.

Nói chung thì phía admin cũng đã áp dụng các kỷ thuật phòng chống từ TARTIP cho tới sử dụng csf ldf để detect DDOS và đưa vào iptable nhưng nói chung khi tấn công quá đa dạng và cùng 1 lúc thì server cũng rất khó có khả năng chống đở 1 cách hữu hiệu vì vậy bọn này quyết định đưa thêm firewall từ ngoài vào hổ trợ hy vọng có thể giảm bớt cường độ làm việc trên server… Một trong những điều khó khăn nhất là khi tấn công ở cường độ nhiều máy và chậm thì sẻ làm cho các chương trình phòng chống rất lúng túng và nếu config không khéo thì ngay cả phe ta cũng bị khoá lại và block bởi các chương trình này…

Các bác cũng biết tui không chuyên về thực hành security trên server cho nên chỉ có thể chia xẻ được những gì theo tui biết trong các ngày làm thợ vịn vừa qua mà thôi.. Tui nghĩ rằng các admin cũng đọc qua những đề nghị của các bác và họ cũng đã áp dụng mọi biện pháp cần thiết… chứ không phải đơn giản là bỏ qua hay phớt lờ các lời khuyên này…

Các bác có trình độ về networking security có thể liên lạc với admin tại tqvn2004@yahoo.com để góp ý các giải pháp chống DDoS. Cảm ơn các bác!